從行為下手　讓UTM「簡單」應對未知威脅

【編者按】安全能變得簡單麼？安全怎樣才能變簡單？

【賽迪網－IT技術報道】在信息安全領域，未知威脅是指尚未被發現的具有未知特徵同時對信息系統存在潛在威脅的活動類型。未知威脅可能是一種網絡攻擊、一種電腦病毒、或者是一種對資源的非法濫用。世界有多大，Internet就有多大，又有誰能預知隱藏在Internet深處的下一個威脅會是什麼？在信息安全領域，人們對威脅的認知總是要滯後於威脅的產生。雖然每一種威脅最終都得到了有效的遏制，但是每一次對未知威脅的認知都付出了巨大的代價。

讓我們再來回顧一下近年來Internet所經歷的浩劫：1998年，CIH爆發，造成全球八千萬美元的損失；1999年，梅利莎（Melissa）病毒爆發，感染全球20％的商業電腦，造成全球六千萬美元的損失；2000年，愛蟲（I love you）病毒爆發，造成全球三千萬美元的損失；2001年，紅色代碼（Code Red）蠕蟲爆發，造成全球五百萬美元的損失；2003年，SQL Slammer（一款DDOS惡意程序）出現，在世界範圍內造成五十萬台伺服器當機，讓韓國整個網絡癱瘓了12個小時……

難道對於未知威脅只能採用亡羊補牢式的被動防範嗎？信息安全領域內的各路專家都在積極探索一種有效防範未知威脅的方法。北京啟明星辰信息技術股份有限公司也積極投入到對未知威脅的防範和研究中來。借助十年的技術積累和實驗驗證，啟明星辰經過不懈的努力最終拿出了一種用於防範未知威脅的切實有效的方法－－「基於行為分析的合法性檢查技術」，並將此技術成功應用於天清漢馬USG一體化安全網關產品中。

「基於行為分析的合法性檢查技術」是一種從已知威脅入手，通過對行為特徵的分析而逐漸認知未知威脅的一種方法，是一種通過已知透析未知的人工智能技術。

從行為分析入手

威脅是一隻披著羊皮的狼，但無論它披上什麼樣的羊皮都無法掩蓋其「狼」的秉性。每一種威脅都是由一系列的行為組成，如終止系統進程、刪除文件、修改註冊表、探測漏洞、強行關閉系統等等。如果能有效的截獲這些動作，那麼也就揭開了威脅的神秘面紗。「基於行為分析的合法性檢查技術」通過強大的反編譯引擎對途經的資料包進行重組和反編譯處理，將已編譯好的二進制威脅病原體重新反編譯為一系列行為動作的組合，從而讓隱藏在資料流深處的各類威脅的「秉性」一覽無餘，這就為有效截獲未知威脅創造了條件。

採用人工智能方法訓練

對於成千上萬種不同類型的行為，什麼樣的組合屬於正常應用，什麼樣的組合才構成威脅呢？「基於行為分析的合法性檢查技術」引入了行為權重和威脅閥值的概念，即將目前各類已知的行為根據它們的風險性初始化一個行為權重，同時擬定一個威脅閥值，如果某類事件所包含行為的行為權重的組合超過了閥值，那麼可以認定這類事件為一個威脅。

用行為權重作為判斷威脅的標準對權重的精確性提出了非常高的要求，「基於行為分析的合法性檢查技術」選擇了五萬多條含有豐富行為特徵的樣本庫，即包括正常樣本也包括威脅樣本，經過百萬次的循環驗證和權重微調，最終形成了一套準確的行為權重知識庫。準確的行為權重知識庫是檢測未知威脅的基礎。

對未知威脅準確判斷

以行為分析作為條件，以「行為權重知識庫」作為基礎，對於任何來自於Internet的未知事件，經過「反編譯->解碼->行為提煉->知識庫比對->權重計算->閥值比較」的流程化操作後即可判斷該未知事件是否為一例威脅事件。如果權重計算的結果大於等於閥值，那麼就可以認定為一例威脅事件，否則就判定為正常資料。基於五萬條樣本資料和百萬次的循環訓練而產生的準確的行為知識庫保證了對未知威脅判斷的精度。

「台上一分鐘、台下十年功」，天清漢馬USG一體化安全網關本著把複雜留給自己，把簡單留給用戶的超然態度，借助十年深厚的技術積累和百萬次的人工智能訓練，最終將「基於行為分析的合法性檢查技術」奉獻給用戶。採用天清漢馬USG一體化安全網關作為網絡安全的第一道防線，對於隱藏在Internet中的任何未知威脅，通過行為分析和合法性檢查，可快速判斷威脅等級並通過阻斷、告警等多種手段有效控制，將未知威脅消滅於萌芽狀態，讓未知威脅無處藏身。

(